Access Server gateway istifadəçisi: müştərinin filial LAN-ının marşrutlaşdırılması

OpenVPN müştərisinin tunel ünvanına ping edə bilərsiniz, amma arxasındakı LAN-da heç bir hosta çata bilməzsiniz. Access Server müştəriyə VPN hovuzundan ünvan verir və hovuz ünvanı serverin özünə aid bildiyi yeganə şeydir. Filial prefiksi ayrıca elan edilməli faktdır və bu edildikdən sonra da filialda yönləndirici, baş ofisdə qayıdış yolu lazımdır. Səhv yerə yazılmış marşrut həll kimi görünür və heç nəyi dəyişmir.

İki ünvan, iki fərqli sahiblik iddiası

Müştəri qoşulduqda Access Server ona konfiqurasiya edilmiş VPN hovuzundan ünvan verir, məsələn 10.90.0.0/24. Bu təyinat bir host üçün icarədir. Bağlantı müştərinin 10.60.0.0/24-in qarşısında da durduğunu demir və server təxmin etməz: LAN prefiksi yalnız administrator elan etdikdə konkret müştəri vasitəsilə əlçatan olur.

Buna görə başqa maşında statik marşrut əlavə etmək işləmir. Marşrut 10.60.0.0/24 ünvanını bu ünvana göndər deyir, amma ünvan gateway kimi işarələnməmiş müştəriyə aiddirsə, serverin paketləri ora çatdırmağa səbəbi yoxdur və müştərinin öz yığını onları ata bilər. Elan və marşrut bir mexanizmin iki yarısıdır.

Gateway parametrinin həqiqətən quraşdırdığı

Admin Web UI-də elan istifadəçi xassəsidir: connector istifadəçisində Configure VPN gateway seçimini aktivləşdirin və real filial prefiksini Network on the VPN client side sahəsinə daxil edin. Bu istifadəçi digərləri kimi autentifikasiya olunur, ona görə nəzarətsiz cihaza uyğun etimad siyasəti lazımdır və auto-login profili rahatlıq faylı deyil, sirrdir.

Həmin işarələmə qutusunun arxasında server prefiksi həmin müştərinin hovuz ünvanı vasitəsilə əlçatan sayır, Access Controls altındakı marşrut konfiqurasiyası isə digər müştərilərə nə deyiləcəyini müəyyən edir: adi müştərilərə göndərilən marşrutlar və baş ofis şəbəkələrindən müştəri ünvanlarına və subnetlərinə trafikə icazə verən qaydalar. Filiala çatmalı şəbəkələr üçün marşrutlaşdırmanı aktivləşdirin və icazəli siyahını qısa saxlayın.

Yaradılmış fayla yapışdırılmış Community üslublu direktiv bu modeldə iştirak etmir. Məhsul özünün göndərdiyi marşrut cədvəlinə sahibdir; əl ilə düzəldilmiş sətir növbəti generasiyada üzərinə yazılır və ya nəzərə alınmır.

Hər iki şəbəkənin qayıdış yollarını tamamlayın

Konkret plan: baş ofis 10.40.0.0/24, filial 10.60.0.0/24, VPN hovuzu 10.90.0.0/24 və Access Server baş ofis tərəfində şəxsi ünvanda əlçatandır. Baş ofis marşrutlaşdırıcısına filial prefiksi və hovuz üçün marşrutlar lazımdır, hər ikisi Access Serverə. Onlarsız tunel sorğunu daşıyır və cavab default gateway ilə çıxır, bu da tanış yarım-açıq bağlantıdır.

Filialda connector özünə ünvanlanmayan paketləri yönləndirməlidir: əməliyyat sistemində IP forwarding və tunel ilə LAN interfeyslərinə məhdud yönləndirmə icazəsi; Linux-da net.ipv4.ip_forward=1 forward chain qaydaları ilə, Windows-da routing and remote access. Sonra filial hostlarına qayıdış yolu lazımdır: ya connector onların default gateway-idir, ya mövcud gateway baş ofis və hovuz prefiksləri üçün xüsusi marşrutlar daşıyır.

Connectorin öz marşrut cədvəli filial LAN-ındakı hər hostu yenidən konfiqurasiya etmir. Hostlar başqa marşrutlaşdırıcıya baxırsa, qayıdış marşrutları orada olmalıdır və o, gördüyü mənbə ünvanının yerli subnetin qonşusu olmadığını qəbul etməlidir.

Uğursuzluğu icazə kimi deyil, yol kimi oxuyun

Sabit ardıcıllıqla sınaqdan keçirin. Əvvəl Access Serverdən filial hostuna icazəli xidmət, sonra adi baş ofis hostundan eyni xidmət, sonra siyasət icazə verirsə əks istiqamət. Birinci keçsə, ikinci uğursuz olsa, göndərilən marşrutlar və ya giriş qaydaları problemdir. İkisi də keçsə, amma cavab gəlmirsə, filialdakı yönləndirməni və baş ofisdəki qayıdış marşrutunu yoxlayın.

Host firewall növbəti şübhəlidir, çünki marşrutlaşdırılmış girişdə təyinat mənbə kimi baş ofis və ya hovuz ünvanını görür. Yerli subnet üçün yazılmış qayda uyğun gəlmir və paket marşrutlaşdırma mükəmməl işlədikdən sonra atılır.

İki dizayn bu nümunədən çoxunu tələb edir. Saytlar arasında üst-üstə düşən prefikslər təyinatı qeyri-müəyyən edir və yenidən nömrələmə və ya tərcümə tələb edir, klasterli Access Server isə hər nodeun filial connectorinə işlək yolu olmasını tələb edir, marşrutu bir nodeun saxlamasını yox. Dəyişiklikləri məhsulun adi yadda saxlama və yeniləmə yolu ilə tətbiq edin, connectori yenidən qoşun və hər iki tərəfdən yenidən yoxlayın; hər maşını tam yenidən başlatmaq prosedurun hissəsi deyil.

Access Server site-to-site tutorial eyni parametrləri məhsul sırası ilə sadalayır; dizaynı öz prefikslərinizə uyğunlaşdırmadan əvvəl bir dəfə izləməyə dəyər.